KI-Agenten im Unternehmen nachweisbar machen: Belegkette statt Vertrauen

Was ein KI-Agent tut — und warum das etwas anderes ist als ein Chatfenster

Ein KI-Agent ist ein Programm, das mit einem Sprachmodell ein Ziel verfolgt, dafür Werkzeuge aufruft und mehrere Schritte selbständig ausführt. Der Unterschied zum Chatfenster liegt nicht in der Intelligenz, sondern in der Reichweite: Ein Assistent schlägt vor, ein Agent handelt. Er schreibt in Systeme, verschickt etwas, ändert Datensätze.

Damit ändert sich die Risikofrage. Bei einem Vorschlag entscheidet ein Mensch, ob er ihn übernimmt; bei einer Handlung ist die Entscheidung bereits gefallen, wenn jemand hinschaut. Deshalb greift bei Agenten kein Qualitätsargument mehr, sondern nur ein Verfahrensargument: Was darf der Agent, wer hat es erlaubt, und woran sieht man später, was er getan hat.

Warum Governance bei Agenten früher greifen muss

KI-Governance sind die Regeln dafür, wer KI wofür einsetzen darf, wer Ergebnisse prüft und wie das belegt wird. Bei einem Assistenzwerkzeug lässt sich das nachträglich einführen. Bei Agenten nicht: Ein Agent, der bereits im Bestellsystem schreibt, lässt sich nicht rückwirkend beaufsichtigen.

Der offene Standard, über den Modelle heute Werkzeuge und Daten anbinden, hat diese Sorge ausdrücklich aufgenommen. Die Spezifikation des Model Context Protocol in der Fassung 2025-06-18 verlangt, dass Hosts vor jedem Werkzeugaufruf die ausdrückliche Zustimmung des Nutzers einholen. Das ist eine Anforderung an die Umgebung, nicht an das Modell — und es ist die Stelle, an der ein Unternehmen ansetzen kann.

Auf der regulatorischen Seite unterscheidet der EU AI Act zwischen Anbietern und Betreibern; die meisten Unternehmen sind Betreiber mit Transparenz- und Schulungspflichten. Was in beiden Rollen die Grundlage bildet, ist dieselbe Fähigkeit: nachweisen zu können, wie eine Entscheidung zustande kam. Rechtsberatung ist das hier nicht — die Einordnung Ihres konkreten Falls gehört zu Ihrer Rechtsabteilung.

Die Belegkette: was ein Nachweis je Schritt enthalten muss

Ein brauchbares Protokoll beantwortet fünf Fragen — und zwar so, dass eine Person ohne technische Vorkenntnisse sie lesen kann. Fehlt eine davon, ist der Nachweis im Streitfall wertlos.

1. Wer hat den Auftrag ausgelöst — ein Mensch, ein Zeitplan oder ein anderer Agent?
2. Welches Werkzeug wurde mit welchen Eingaben aufgerufen?
3. Wer hat den Aufruf freigegeben, und auf welcher Regel beruhte die Freigabe?
4. Was war das Ergebnis, und wurde es geprüft oder beanstandet?
5. Lässt sich der protokollierte Stand später von einem veränderten unterscheiden?

Die fünfte Frage ist die, die am häufigsten fehlt. Ein Protokoll, das sich nachträglich ändern lässt, ohne dass es auffällt, beweist nichts. Deshalb bekommt ein geprüfter Stand eine maschinell erzeugte Kennzeichnung, an der Abweichungen erkennbar werden. Sie verhindert keine Änderung — sie macht sie sichtbar.

Wie sich das technisch durchsetzen lässt

Regeln, die auf Zuruf gelten, gelten nicht. Damit ein Agent den vorgesehenen Ablauf einhält, muss die Umgebung ihn erzwingen: Der Agent bekommt seine Werkzeuge über eine Stelle, die jeden Aufruf gegen die hinterlegten Regeln prüft, freigibt oder ablehnt und den Vorgang festhält. Ob dahinter ein Agent oder tausend arbeiten, ändert am Ablauf nichts.

Genau das ist die Aufgabe der Baldux Engine. Sie ist kein Modell und ersetzt keines; sie sitzt zwischen den Agenten und ihren Werkzeugen und setzt den Ablauf durch — mit Belegkette je Schritt. Zugang gibt es auf Anfrage über einen Vertriebstermin, weil Volumen, Anbindung und Kontingent vorher geklärt werden müssen.

Für Unternehmen, die keine eigenen Agenten betreiben, ist derselbe Mechanismus im Managed-Abo bereits eingebaut: Jede Arbeitseinheit an Ihrer Anwendung durchläuft die vier Prüfrollen und hinterlässt ein Protokoll.

Checkliste für den Agenteneinsatz im eigenen Haus

• Für jeden Agenten steht schriftlich, welche Werkzeuge er benutzen darf und welche ausdrücklich nicht.
• Schreibende Aktionen sind von lesenden getrennt und brauchen eine eigene Erlaubnis.
• Es gibt eine Stelle, an der ein Aufruf abgelehnt werden kann — technisch, nicht per Anweisung.
• Jeder Aufruf wird protokolliert, und das Protokoll lässt sich ohne Entwicklerhilfe lesen.
• Der protokollierte Stand ist von einem nachträglich veränderten unterscheidbar.
• Personenbezogene Daten in Eingaben und Ergebnissen sind benannt und in der Datenschutzdokumentation erfasst.
• Es ist festgelegt, wer im Haus verantwortlich ist, wenn ein Agent etwas Falsches tut.